Siber Güvenlik Mimari Karar Kayıtları ve İzlenebilir Karar Yönetimi

Kurumsal siber güvenlikte bu soruların cevapları, alınan kararlar kayıt altına alınmadığında zaman içerisinde kaybolabilir. Oysa güçlü bir güvenlik mimarisi yalnızca hangi teknolojinin kullanıldığını değil, neden o teknolojinin ve mimari yaklaşımın tercih edildiğini de açıklayabilmelidir.

Bu noktada Mimari Karar Kayıtları (Architecture Decision Records – ADR), teknik tercihleri kurumsal güvenlik hafızasına dönüştüren önemli bir yönetişim mekanizmasıdır.

Karar mı, Değişiklik mi?

Bir güvenlik duvarı kuralının eklenmesi, bir bulut hizmetinin devreye alınması veya bir güvenlik kontrolünün uygulanması teknik bir değişikliktir. Ancak bu değişikliğin;

Hangi iş ihtiyacından doğduğu, hangi riskin değerlendirildiği, hangi alternatiflerin ele alındığı, hangi güvenlik prensibine göre karar verildiği ve kararın kim tarafından sahiplenildiği...

Mimari kararın kendisini oluşturur. Dolayısıyla güvenlik mimarisinde yalnızca “ne yaptık?” sorusunun değil, “neden yaptık ve hangi koşullarda yeniden değerlendireceğiz?” sorularının da cevaplanabilmesi gerekir.

İzlenebilir Karar Yönetimi

İzlenebilirlik, kararların yalnızca bir dokümanda saklanması anlamına gelmez. Kararın yaşam döngüsü boyunca ilişkili bilgi ve kanıtlarla takip edilebilmesini ifade eder.

Bu zincir şu şekilde ele alınabilir:

İş İhtiyacı → Varlık → Tehdit → Risk → Güvenlik Gereksinimi → Alternatifler → Mimari Karar → Kontrol → Uygulama → Kanıt → İzleme → Yeniden Değerlendirme

Bu yaklaşım sayesinde bir güvenlik kararının yalnızca sonucu değil, karara götüren düşünce ve değerlendirme süreci de görünür hale gelir.

Bir Karar Kaydında Neler Bulunmalı?

Her kararın kapsamına göre değişmekle birlikte, önemli bir güvenlik mimarisi kararında en azından şu bilgilerin bulunması faydalıdır:

• Karar: Ne kararlaştırıldı?
• Gerekçe: Neden bu karar alındı?
• Risk: Hangi risk veya güvenlik ihtiyacı ele alındı?
• Alternatifler: Hangi seçenekler değerlendirildi?
• Kriterler: Seçim hangi teknik, operasyonel ve güvenlik kriterlerine göre yapıldı?
• Sahiplik: Kararın ve riskin sorumlusu kim?
• Etkiler: Kararın sistemler, operasyonlar ve güvenlik kontrolleri üzerindeki etkisi nedir?
• Kanıt: Kararı destekleyen hangi analiz, test veya değerlendirmeler mevcut?
• Yeniden değerlendirme: Hangi koşullarda karar tekrar gözden geçirilecek?

Böylece teknik tercihler kişilerin hafızasına bağlı olmaktan çıkarılarak kurumsal ve izlenebilir bir karar sistemine dönüştürülür.

Güvenlik Yönetişimine Katkısı

Mimari karar kayıtları yalnızca teknik ekiplerin değil; güvenlik yöneticilerinin, risk sahiplerinin, üst yönetimin ve denetim fonksiyonlarının ortak karar hafızasını oluşturur.

Bu yapı kararları;

Risk bazlı, gerekçelendirilebilir, denetlenebilir, ölçülebilir ve gerektiğinde yeniden değerlendirilebilir hale getirir.

Aynı zamanda ekip ve teknoloji değişikliklerinin kurumsal güvenlik yaklaşımında bilgi kaybına yol açmasını azaltır.

Sonuç:

Olgun bir siber güvenlik organizasyonunda kararlar yalnızca uygulanmaz; gerekçelendirilir, sahiplenilir, izlenir ve gerektiğinde yeniden değerlendirilir.

Mimari karar kayıtları bu yaklaşımın önemli araçlarından biridir. Amaç daha fazla dokümantasyon üretmek değil; kurumun hangi güvenlik kararını, hangi risk ve gereksinim doğrultusunda, hangi gerekçeyle aldığını gelecekte de anlayabilmesini sağlamaktır.

Çünkü sürdürülebilir siber güvenlik yalnızca sistemleri korumakla değil, güvenlik kararlarının kurumsal hafızasını korumakla da mümkündür.

Araştırma Kaynakları:

* ChatGPT

* Gemini